中文--使用移動(dòng)電話進(jìn)行網(wǎng)上銀行身份驗(yàn)證(編輯修改稿)
2025-06-26 17:39 本頁面
【文章內(nèi)容簡介】 響應(yīng)P：S復(fù)核配置并把密碼的選擇和銀行證書，一個(gè)RS，客戶證書的要求一起發(fā)送回去。2. 在一個(gè)銀行的證書驗(yàn)證成功后，為了用來證明目前的M持有者是真正的C，M顯示一條消息提示C輸入PIN。3. C使用M的鍵盤輸入PIN。4. C的證書與PKC、C的簽名和前主片相結(jié)合，當(dāng)正確的PIN給出后由PKB加密后發(fā)送到S 。C的簽名模式：｛H(RC,RS)｝PVC。5. S首先驗(yàn)證C的證書，然后通過使用PKC解密并比較哈希結(jié)果驗(yàn)證其簽名。最后，S為進(jìn)一步使用，計(jì)算一個(gè)對(duì)稱密鑰SK。SK的生成是基于了解了RC、RS和前主片的。6. P產(chǎn)生一個(gè)相同的SK，并且P和S之間進(jìn)一步的通信由SK加密。在這點(diǎn)上，成功地完成認(rèn)證過程。 客戶端數(shù)字證書可以獲取銀行信息，當(dāng)客戶打開她的帳戶或從銀行的網(wǎng)站載后。而客戶端的公鑰私鑰對(duì)能在她的手機(jī)由TPM產(chǎn)生。而客戶端的公鑰私鑰對(duì)能夠產(chǎn)生的內(nèi)銀行的證書在第2步驗(yàn)證實(shí)際上是由P的瀏覽器進(jìn)行的。如果驗(yàn)證失敗，認(rèn)證過程將立即終止。 手機(jī)在線身份驗(yàn)證協(xié)議的步驟今天的PC已經(jīng)成為一個(gè)不受信任的設(shè)備[16]這是有爭議的。然而，無處不在的惡意軟件，如特洛伊木馬和后門，聯(lián)接到Internet的計(jì)算機(jī)容易受到黑客甚至腳本的操縱。因此，如果在這樣的計(jì)算機(jī)上進(jìn)行網(wǎng)上交易這是絕對(duì)危險(xiǎn)的，尤其當(dāng)這惡意的個(gè)人電腦有能力修改交易。為了解決這個(gè)問題，交易確認(rèn)提供了一個(gè)對(duì)策要求客戶使用她的手機(jī)確認(rèn)在線交易。該協(xié)議的步驟如下所述。圖2 交易確認(rèn)協(xié)議1. 由于交易需要得到證實(shí)，S發(fā)送以下消息到P：｛T，｛T，RS1｝PKC｝SK,其中T代表交易信息，RS1是S另外一個(gè)隨機(jī)生成的數(shù)字。2. P使用對(duì)稱密鑰SK解密，并在其屏幕上顯示T，然后轉(zhuǎn)發(fā)｛T，RS1｝PKC到M。3. M檢索T并在它的屏幕上顯示。C是能直觀比較兩個(gè)屏幕的T。如果內(nèi)容匹配，C要通過點(diǎn)擊M上的接受按鈕來確認(rèn)T。做完這一步然后繼續(xù)下一個(gè)，否則此交易確認(rèn)會(huì)話將被終止。4. M對(duì)P發(fā)送確認(rèn)消息｛H(T，RS1)｝PVC。5. P對(duì)S轉(zhuǎn)發(fā)｛｛H（T，RS1）｝PVC｝SK,這是等待檢索以及對(duì)哈希和本地結(jié)果進(jìn)行比較，以最終完成交易。四、 安全與攻擊分析在本節(jié)中，我們將對(duì)手機(jī)進(jìn)行安全分析，然后再對(duì)協(xié)議進(jìn)行現(xiàn)在的攻擊進(jìn)行分析。 移動(dòng)電話的物理安全性分析手機(jī)我們的社會(huì)生活中已經(jīng)變得越來越重要。一個(gè)主要原因是，有越來越多的功能已經(jīng)在手機(jī)中集成，如互聯(lián)網(wǎng)瀏覽，手機(jī)銀行和購物。人們使用手機(jī)不僅用來打電話發(fā)短信，同時(shí)也用它們來處理相對(duì)復(fù)雜的事件，如閱讀新聞、支付帳單、訂票。甚至開會(huì)。手機(jī)越來越多的應(yīng)用可能提高了他們的人身安全。換句話說，人們現(xiàn)在比以前更多的關(guān)注他們的移動(dòng)電話，這使得手機(jī)比其他人們不打算更多關(guān)心的設(shè)備比較難丟失或被盜，如USB閃存驅(qū)動(dòng)器。然而，這樣一個(gè)安全優(yōu)勢(shì)是不足以證明手機(jī)比USB閃存驅(qū)動(dòng)器更適合網(wǎng)上銀行認(rèn)證。因此，對(duì)于可以對(duì)我們身份驗(yàn)證協(xié)議產(chǎn)生最嚴(yán)重威脅的手機(jī)惡意軟件進(jìn)行深入檢查，這是可取的。 移動(dòng)電話惡意軟件分析在過去的幾年里，移動(dòng)電話的外觀和功能已經(jīng)改變了很多。如今，手機(jī)類似于一個(gè)小型的個(gè)人電腦，通常擁有一個(gè)鍵盤和一個(gè)操作系統(tǒng)。不幸的是，安全威脅像惡意軟件，曾今只存在個(gè)人電腦上，已經(jīng)被移植到了手機(jī)上。Cabir[17]，一種藍(lán)牙蠕蟲病毒，利用藍(lán)牙渠道當(dāng)手機(jī)運(yùn)行Symbian系統(tǒng)時(shí)本身將傳播到其他移動(dòng)電話。對(duì)于它的傳播[18]，目標(biāo)設(shè)備會(huì)顯示一條消息，詢問其用戶通過藍(lán)牙接收消息的確認(rèn)。如果用戶允許他的手機(jī)接收這條消息，該蠕蟲就會(huì)在用戶手機(jī)上安裝。在此之后，Cabir繼續(xù)迫使其主機(jī)尋找其他可用目標(biāo)，繼續(xù)傳播。除了Cabir病毒，手機(jī)木馬程序Skulls[19] 用骷髏圖像取代應(yīng)用程序圖標(biāo)以及使很多應(yīng)用癱瘓來感染受害者的手機(jī)。刪除該木馬程序的唯一方法是使用第三方文件管理器[18]。盡管它具有可怕的傳播能力，Cabir病毒在其主機(jī)上相當(dāng)薄弱的影響：它只是耗盡電池或阻礙使用藍(lán)牙[18]。幸運(yùn)的是Skulls的攻擊很容易被保護(hù)，因?yàn)槭艿礁腥綶19]之前有警告顯示給用戶。此外，基于沒有任何破環(huán)性事件由于手機(jī)惡意軟件而發(fā)生這一事實(shí)，我們相信，手機(jī)仍然是一個(gè)相對(duì)于PC的外設(shè)更安全的環(huán)境。因此，使用手機(jī)作為一種媒體來存儲(chǔ)和處理認(rèn)證組件是合理的。 協(xié)議的攻擊分析在本節(jié)中將徹底描述和分析可以應(yīng)用于該協(xié)議的攻擊。為了使描述清楚，我們將攻擊分為兩類：遠(yuǎn)程攻
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1